또 뚫린 고객정보…해커 먹이감 '유통기업' 왜?

CU 택배 개인정보 유출
보안 취약성 재조명
편의점·이커머스·OTT까지 확산
'사후 대응' 관행 도마

최근 유통·플랫폼 업계를 겨냥한 대규모 개인정보 유출 사고가 잇따르면서 업계 전반의 보안 체계가 도마 위에 오르고 있다. 편의점 택배 서비스부터 이커머스, 온라인동영상서비스(OTT), 명품 플랫폼까지 해커들의 공격 대상이 되면서 소비자 불안도 커지고 있다. 특히 유사한 사고가 반복되고 있음에도 상당수 기업이 사고 발생 이후 점검과 사과에 집중하는 데 그치면서 사후약방문식 대응이 고착화됐다는 비판이 나온다.

11일 업계에 따르면 최근 BGF리테일 의 CU 편의점 택배 서비스에서 고객 개인정보가 유출되는 사고가 발생하면서 유통업계의 보안 취약성이 다시 도마 위에 올랐다. 이름과 연락처, 주소 등 민감한 정보가 포함된 것으로 알려지면서 소비자 불안이 커진 가운데 업계에서는 이번 사고가 특정 기업의 문제가 아닌 유통산업 전반에 만연한 보안 리스크를 드러낸 사례라는 지적이 나온다.

실제 지난해부터 GS리테일 (GS25·GS샵), 쿠팡, CJ, 티빙, 머스트잇, 한국파파존스를 비롯해 디올, 루이비통, 아디다스 등 국내외 주요 유통·플랫폼 기업에서 크고 작은 개인정보 유출 사고가 잇따랐다. 편의점과 이커머스, 명품 브랜드, 외식업체, OTT 등 업종을 가리지 않고 사고가 반복되면서 개인정보 보호가 개별 기업의 문제가 아닌 산업 전반의 과제로 떠오르고 있다.

국회 정무위원회 소속 더불어민주당 이인영 의원실이 개인정보보호위원회로부터 제출받은 자료만 봐도 2022년부터 최근 4년간 총 139곳이 개인정보 유출로 과징금 처분을 받았다. 이 중 이커머스·식음료·의류·여행 등 유통기업이 34건(24.4%)으로 가장 많았고, IT·플랫폼 기업이 32건(23.0%)으로 뒤를 이었다. 두 업종을 합치면 전체 유출 처분 건수의 절반에 육박하는 47.4%에 달한다. 반면 철저한 보안 규제를 적용받는 금융업은 14건(10.0%)에 불과해, 유통·플랫폼 업계의 유출 빈도가 금융권의 5배에 육박하는 것으로 나타났다.

유통업계가 해커들의 주요 표적이 된 배경에는 방대한 데이터 자산이 있다. 보안업계는 최근 해커들이 유통기업의 데이터베이스를 금융권 정보 못지않은 고가 자산으로 평가하고 있다고 설명한다.

금융정보는 접근 자체가 어렵고 다중 인증과 추가 보안 절차가 구축돼 즉각적인 현금화가 쉽지 않다. 반면 유통기업이 보유한 데이터는 이름과 연락처, 주소, 결제수단, 환불계좌, 구매 이력, 소비 성향 등 개인의 생활 전반을 담고 있다. 이같은 정보는 보이스피싱과 스미싱, 계정 탈취 등 각종 2차 범죄에 활용될 수 있어 불법 거래 시장에서도 높은 가치를 인정받는다.

업계 한 관계자는 "주소와 연락처, 소비 패턴이 결합된 데이터는 단순 개인정보보다 활용 가치가 훨씬 높다"며 "해커 입장에서는 금융정보 못지않은 고가의 자산"이라고 말했다.

전문가들은 유통업계의 낮은 보안 투자 수준도 반복되는 사고의 원인으로 지목한다. 대부분의 유통기업은 AI 추천 시스템과 물류 자동화, 마케팅 고도화에는 대규모 투자를 집행하면서도 보안 부문은 직접적인 수익을 창출하지 못하는 비용으로 인식하는 경향이 강하다는 것이다.

최근 유통사들은 간편결제와 멤버십, 배송 조회, 개인화 추천 서비스 등을 확대하면서 수많은 외부 솔루션 및 협력업체 시스템과 연동하고 있다. 데이터 기반 서비스 경쟁이 치열해질수록 해커가 침투할 수 있는 경로도 함께 늘어나는 구조다.

해커들은 본사 시스템을 직접 공격하기보다 상대적으로 보안 수준이 낮은 협력업체나 방치된 구버전 API(응용프로그램 인터페이스)를 경유하는 공급망 공격 방식을 주로 활용하고 있다. 외부 연동망이 늘어나는 만큼 보안 관리 범위도 확대됐지만 이에 대한 대응 체계는 충분히 갖춰지지 않았다는 분석이다.

업계 다른 관계자는 "유통사들은 오래된 레거시 시스템 위에 새로운 서비스 기능을 덧붙이는 방식으로 사업을 확장해왔다"며 "정기적인 취약점 진단과 실시간 모의 해킹, 내부 접근 통제 체계 재정비가 이뤄지지 않는다면 개인정보 유출 사고는 앞으로도 반복될 수밖에 없다"고 말했다.

한예주 기자 dpwngks@asiae.co.kr